¿En qué consiste una adecuación de protección de datos?

Realizar una adaptación de protección de datos es mucho más que cumplir con la ley de protección de datos. Cuando una empresa o un profesional supera las distintas fases de adecuación a esta normativa, su empresa o negocio no solo estará respetando el ordenamiento jurídico, sino que además habrá ganado en confianza para sus clientes, habrá mejorado los procesos y flujos de información, habrá incrementado la ciberseguridad en sus sistemas y habrá dotado de protección a los activos de su corporación.

¿Qué fases implica una adecuación?

Fase 1. Recogida de datos y evaluación de la situación actual.

Lo primero es conocer el estado en el que se encuentra la información personal sobre la que habrá que aplicar las medidas técnicas y legales; identificar los soportes de información, los tipos de tratamiento y su naturaleza y los sistemas informáticos utilizados para el tratamiento de los datos.

Gracias a esta fase podemos obtener un panorama general de la estructura de la empresa y de la información que se maneja.

Fase 2. Realizar el registro de actividades de tratamiento.

Es recomendable que el siguiente punto sea confeccionar el obligatorio registro de actividades de tratamiento, un documento donde constará, al menos la siguiente información:

el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
los fines del tratamiento;
una descripción de las categorías de interesados y de las categorías de datos personales;
las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo del RGPD, la documentación de garantías adecuadas;
cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1 del RGPD.

Fase 3. Análisis de riesgos.

El siguiente punto es realizar un análisis de riesgos donde evaluar el conjunto de actividades y tareas que nos van a permitir controlar la incertidumbre relativa a una posible amenaza mediante una sucesión de actividades que incluyen la identificación y evaluación del riesgo, así como, las medidas para su reducción o mitigación. Esta fase es muy importante porque una incorrecta evaluación de riesgos puede suponer o bien implementar medidas innecesarias o bien pasar por alto elementos que pueden provocar un riesgo elevado para nuestra organización.

Fase 4. Redacción de cláusulas y documentos legales.

Será necesario examinar todas las fuentes de entrada de datos en los sistemas de la empresa para valorar la necesidad o no de añadir cláusulas o textos legales, dependiendo de cómo sea esa entrada de datos. Así, por ejemplo, si una entrada de datos se produce a través de un formulario en papel que se facilita a los clientes en el momento de contratar, será necesario que ese documento en papel tenga una cláusula informativa con los elementos mínimos exigidos por la normativa.

Fase 5. Determinación e implementación de medidas de seguridad.

Con toda la información anterior, estaremos en posición de describir las medidas de seguridad necesarias para proteger la información, tomando como base el análisis de riesgos realizado. Estas medidas de seguridad podrán ser técnicas o informáticas, esto es, medidas de seguridad destinadas a proteger los sistemas informáticos, como los ordenadores, bases de datos, dispositivos móviles, etc. o bien organizativas, medidas pensadas para el día a día en la organización así como la formación específica a trabajadores.

La anterior estructura es un resumen no exhaustivo de algunas de las fases más relevantes que implican una adecuación al RGPD, pero cada empresa es distinta y por ese motivo será necesario evaluar las necesidades concretas de cada empresa para aplicar unas medidas u otras.

La mejor adaptación es aquella que se realiza de forma personalizada y específica para cada cliente.